Pod 安全標準

Windows Pod 提供了執行 HostProcess 容器 的能力，從而可以對 Windows 主機進行特權訪問。基線策略禁止對主機的特權訪問。

受限欄位

• spec.securityContext.windowsOptions.hostProcess
• spec.containers[*].securityContext.windowsOptions.hostProcess
• spec.initContainers[*].securityContext.windowsOptions.hostProcess
• spec.ephemeralContainers[*].securityContext.windowsOptions.hostProcess

允許值

• 未定義/空
• false

必須禁止共享主機名稱空間。

受限欄位

• spec.hostNetwork
• spec.hostPID
• spec.hostIPC

允許值

• 未定義/空
• false

特權 Pod 停用大多數安全機制，必須予以禁止。

受限欄位

• spec.containers[*].securityContext.privileged
• spec.initContainers[*].securityContext.privileged
• spec.ephemeralContainers[*].securityContext.privileged

允許值

• 未定義/空
• false

必須禁止新增除以下列出的能力之外的額外能力。

受限欄位

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允許值

• 未定義/空
• AUDIT_WRITE
• CHOWN
• DAC_OVERRIDE
• FOWNER
• FSETID
• KILL
• MKNOD
• NET_BIND_SERVICE
• SETFCAP
• SETGID
• SETPCAP
• SETUID
• SYS_CHROOT

必須禁止 HostPath 卷。

受限欄位

• spec.volumes[*].hostPath

允許值

• 未定義/空

主機埠應完全停用（推薦）或限制為已知列表。

受限欄位

• spec.containers[*].ports[*].hostPort
• spec.initContainers[*].ports[*].hostPort
• spec.ephemeralContainers[*].ports[*].hostPort

允許值

• 未定義/空
• 已知列表（內建 Pod 安全准入控制器 不支援）
• 0

必須禁止探測和生命週期鉤子中的 Host 欄位。

受限欄位

• spec.containers[*].livenessProbe.httpGet.host
• spec.containers[*].readinessProbe.httpGet.host
• spec.containers[*].startupProbe.httpGet.host
• spec.containers[*].livenessProbe.tcpSocket.host
• spec.containers[*].readinessProbe.tcpSocket.host
• spec.containers[*].startupProbe.tcpSocket.host
• spec.containers[*].lifecycle.postStart.tcpSocket.host
• spec.containers[*].lifecycle.preStop.tcpSocket.host
• spec.containers[*].lifecycle.postStart.httpGet.host
• spec.containers[*].lifecycle.preStop.httpGet.host
• spec.initContainers[*].livenessProbe.httpGet.host
• spec.initContainers[*].readinessProbe.httpGet.host
• spec.initContainers[*].startupProbe.httpGet.host
• spec.initContainers[*].livenessProbe.tcpSocket.host
• spec.initContainers[*].readinessProbe.tcpSocket.host
• spec.initContainers[*].startupProbe.tcpSocket.host
• spec.initContainers[*].lifecycle.postStart.tcpSocket.host
• spec.initContainers[*].lifecycle.preStop.tcpSocket.host
• spec.initContainers[*].lifecycle.postStart.httpGet.host
• spec.initContainers[*].lifecycle.preStop.httpGet.host

允許值

• 未定義/空
• ""

在支援的主機上，預設應用 `RuntimeDefault` AppArmor 配置檔案。基線策略應阻止覆蓋或停用預設 AppArmor 配置檔案，或將覆蓋限制為一組允許的配置檔案。

受限欄位

• spec.securityContext.appArmorProfile.type
• spec.containers[*].securityContext.appArmorProfile.type
• spec.initContainers[*].securityContext.appArmorProfile.type
• spec.ephemeralContainers[*].securityContext.appArmorProfile.type

允許值

• 未定義/空
• RuntimeDefault
• Localhost

• metadata.annotations["container.apparmor.security.beta.kubernetes.io/*"]

允許值

• 未定義/空
• runtime/default
• localhost/*

SELinux 型別的設定受到限制，並且禁止設定自定義 SELinux 使用者或角色選項。

受限欄位

• spec.securityContext.seLinuxOptions.type
• spec.containers[*].securityContext.seLinuxOptions.type
• spec.initContainers[*].securityContext.seLinuxOptions.type
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.type

允許值

• 未定義/""
• container_t
• container_init_t
• container_kvm_t
• container_engine_t（自 Kubernetes 1.31 起）

受限欄位

• spec.securityContext.seLinuxOptions.user
• spec.containers[*].securityContext.seLinuxOptions.user
• spec.initContainers[*].securityContext.seLinuxOptions.user
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.user
• spec.securityContext.seLinuxOptions.role
• spec.containers[*].securityContext.seLinuxOptions.role
• spec.initContainers[*].securityContext.seLinuxOptions.role
• spec.ephemeralContainers[*].securityContext.seLinuxOptions.role

允許值

• 未定義/""

預設的 /proc 掩碼旨在減少攻擊面，應作為強制要求。

受限欄位

• spec.containers[*].securityContext.procMount
• spec.initContainers[*].securityContext.procMount
• spec.ephemeralContainers[*].securityContext.procMount

允許值

• 未定義/空
• 預設

Seccomp 配置檔案不得明確設定為 Unconfined。

受限欄位

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允許值

• 未定義/空
• RuntimeDefault
• Localhost

Sysctls 可以停用安全機制或影響主機上的所有容器，因此除了允許的“安全”子集外，應予以禁止。如果 sysctl 在容器或 Pod 中名稱空間隔離，並且與同一節點上的其他 Pod 或程序隔離，則視為安全。

受限欄位

• spec.securityContext.sysctls[*].name

允許值

• 未定義/空
• kernel.shm_rmid_forced
• net.ipv4.ip_local_port_range
• net.ipv4.ip_unprivileged_port_start
• net.ipv4.tcp_syncookies
• net.ipv4.ping_group_range
• net.ipv4.ip_local_reserved_ports（自 Kubernetes 1.27 起）
• net.ipv4.tcp_keepalive_time（自 Kubernetes 1.29 起）
• net.ipv4.tcp_fin_timeout（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_intvl（自 Kubernetes 1.29 起）
• net.ipv4.tcp_keepalive_probes（自 Kubernetes 1.29 起）

受限策略只允許以下卷型別。

受限欄位

• spec.volumes[*]

允許值

• spec.volumes[*].configMap
• spec.volumes[*].csi
• spec.volumes[*].downwardAPI
• spec.volumes[*].emptyDir
• spec.volumes[*].ephemeral
• spec.volumes[*].persistentVolumeClaim
• spec.volumes[*].projected
• spec.volumes[*].secret

不應允許許可權提升（例如透過 set-user-ID 或 set-group-ID 檔案模式）。這是 v1.25+ 中的 Linux 專用策略 (spec.os.name != windows)

受限欄位

• spec.containers[*].securityContext.allowPrivilegeEscalation
• spec.initContainers[*].securityContext.allowPrivilegeEscalation
• spec.ephemeralContainers[*].securityContext.allowPrivilegeEscalation

允許值

• false

容器必須被要求以非 root 使用者身份執行。

受限欄位

• spec.securityContext.runAsNonRoot
• spec.containers[*].securityContext.runAsNonRoot
• spec.initContainers[*].securityContext.runAsNonRoot
• spec.ephemeralContainers[*].securityContext.runAsNonRoot

允許值

• true

容器不得設定runAsUser為 0

受限欄位

• spec.securityContext.runAsUser
• spec.containers[*].securityContext.runAsUser
• spec.initContainers[*].securityContext.runAsUser
• spec.ephemeralContainers[*].securityContext.runAsUser

允許值

• 任何非零值
• 未定義/空

Seccomp 配置檔案必須明確設定為其中一個允許值。禁止使用 Unconfined 配置檔案和**缺少**配置檔案。*這是 v1.25+ 中的 Linux 專用策略 (spec.os.name != windows)*

受限欄位

• spec.securityContext.seccompProfile.type
• spec.containers[*].securityContext.seccompProfile.type
• spec.initContainers[*].securityContext.seccompProfile.type
• spec.ephemeralContainers[*].securityContext.seccompProfile.type

允許值

• RuntimeDefault
• Localhost

容器必須丟棄 ALL 能力，並且只允許重新新增 NET_BIND_SERVICE 能力。*這是 v1.25+ 中的 Linux 專用策略 (.spec.os.name != "windows")*

受限欄位

• spec.containers[*].securityContext.capabilities.drop
• spec.initContainers[*].securityContext.capabilities.drop
• spec.ephemeralContainers[*].securityContext.capabilities.drop

允許值

• 包含 ALL 的任何能力列表

受限欄位

• spec.containers[*].securityContext.capabilities.add
• spec.initContainers[*].securityContext.capabilities.add
• spec.ephemeralContainers[*].securityContext.capabilities.add

允許值

• 未定義/空
• NET_BIND_SERVICE